Dibuje el flujo de datos antes de redactar el aviso
Empiece por qué información recopila el servicio kuwaití, con qué fin, quién puede leerla y adónde viaja. Incluya al personal de soporte, los proveedores de nube y las copias de seguridad, no solo el formulario del cliente. Un aviso de privacidad que describe un producto distinto no se arregla añadiendo una frase amplia sobre consentimiento. Use un recorrido real del cliente para documentar la recogida, el acceso interno, el soporte desde el extranjero, el almacenamiento por proveedores, las exportaciones, las copias de seguridad y la eliminación. Añada el responsable y el fin de cada paso; un diagrama de sistemas por sí solo no muestra quién decide un nuevo uso.
Compare los accesos con las promesas
Lea juntos el texto dirigido al cliente, los contratos con proveedores y los permisos reales del sistema. ¿Puede un contratista exportar registros? ¿Se usan los datos para analítica o entrenamiento de modelos cuando el aviso solo menciona la prestación del servicio? Nombre al responsable de cada uso y restrinja los permisos que no correspondan al fin. Compare la configuración de permisos de un usuario de muestra con las cuentas activas de proveedores y las claves de integración. Mantenga un inventario de quién puede exportar, compartir o entrenar un modelo con los registros, incluido cualquier proveedor posterior. Elimine las cuentas obsoletas y documente qué hace falta antes de conceder un nuevo fin.
Ensaye un incidente y una solicitud de usuario
Simule un acceso no autorizado y una solicitud de recuperación o eliminación de un registro. ¿Quién puede identificar qué ocurrió, preservar los registros, contactar con un proveedor y responder a la persona? Registre la hora del descubrimiento y la evidencia. Pida a un asesor cualificado en Kuwait que compruebe las obligaciones vigentes y cualquier plazo para el incidente real; un plazo universal sería engañoso. Para una exposición de prueba, preserve los registros de acceso y el número de registros afectados, contenga la vía y pida los hechos al proveedor sin reescribir la evidencia. Registre la evaluación, la decisión de comunicación y la persona responsable del seguimiento. Para una solicitud de eliminación, identifique las copias y la conservación lícita antes de afirmar que la supresión está completa.
Haga manejables la salida y el cambio
Defina la conservación, la supresión, la exportación y la evidencia de que el proveedor lo completó. Un nuevo proveedor o un equipo de soporte en el extranjero debe desencadenar una revisión nueva de la ruta y los contratos. Conserve versiones fechadas del mapa de datos y del aviso público para que la empresa pueda explicar qué regía cuando un cliente usó el servicio. Indique en qué formato recibirá los datos un cliente o una empresa en una exportación, cómo se tratan las copias de seguridad y qué prueba de supresión puede dar el proveedor. Vuelva a comprobar juntos el aviso, el contrato con el proveedor y el acceso al sistema en cada cambio relevante del producto.
Mantenga al día el expediente de privacidad
- Haga el seguimiento de cada fin y flujo, incluidos soporte, proveedores y copias de seguridad.
- Compare los accesos reales y los contratos con proveedores con el texto dirigido al cliente.
- Ensaye una vía de incidente y de solicitud de usuario con un registro de decisiones.
- Documente la conservación, la exportación, la supresión y las revisiones de permisos.
Véase nuestra práctica de protección de datos y privacidad y la práctica de TMT y TI para cuestiones relacionadas.